用途：对 Node.js、Python、Go、Rust、JVM、Ruby 项目做依赖安全审计，覆盖漏洞、版本健康度与许可证事实，输出中文报告。默认只读，用户只要求检查、审计、报告时不修改 manifest、lockfile、源码、CI 或外部服务。
主要能力：识别 package.json、package-lock.json、pnpm-lock.yaml、yarn.lock、requirements*.txt、Pipfile.lock、poetry.lock、uv.lock、go.mod、go.sum、Cargo.toml、Cargo.lock、pom.xml、Gradle 文件、Gemfile.lock；以 lockfile 或包管理器解析结果确定实际版本；标记直接/传递依赖、生产/开发范围与 workspace 归属。
使用方式：优先使用项目锁定的包管理器和已有审计命令，如 npm audit --json、npm outdated --json、pnpm audit --json、pnpm outdated --format json、pip-audit --format json、govulncheck -json ./...、cargo audit --json；命令不存在时记录未执行及原因，不擅自安装。报告包含执行覆盖、漏洞证据、版本健康度、许可证事实与待确认事项、建议与优先级。
限制：不凭包名、版本年龄或记忆猜测 CVE、修复版本、可达性与许可证；区分依赖树存在受影响版本与漏洞可被利用；许可证只陈述事实，不作法律结论；修复需用户明确授权，且不默认运行 npm audit fix、pip-audit --fix、--force 或批量大版本升级。缺失事实暂未提供。